Alertes de sécurité en cours Discussion Discussion
Faire un lien Lien
Assiste.com - Sécurité informatique - Décontamination - Antivirus - Protection - Protection de la Vie Privée Assiste.com - Sécurité informatique - Décontamination - Antivirus - Protection - Protection de la Vie Privée


Safe Attitude

Dernière mise à jour : 2016-12-03T00:00 - 03.12.2016 - 00h00
18.06.2013 - 00h00 - Paris - (Assiste - Pierre Pinard) - Mise à jour de notre article antérieur (versions 1997-2007)

Safe Attitude : Analyser les causes, détruire les effets, prévoir les conséquences. Après la découverte d'une contamination, il ne faut pas se limiter à la décontamination mais chercher pourquoi cela est arrivé (les causes et les conséquences), combler les failles, y compris dans son propre comportement, et réparer les conséquences.

Assiste.com : Safe Attitude

Safe AttitudeSafe Attitude - Agir dans 3 directionsEcrire au Webmaster à propos de : Safe Attitude

Vous avez découvert quelque chose d'anormal sur votre machine grâce à un utilitaire de sécurité ou par tout autre moyen. Comment agir et réagir ?

Il faut agir dans 3 directions différentes simultanément.

La présence, sur une machine, de parasites ou d'outils apparemment anodins, mais inattendus, ne doit pas être prise à la légère (y compris la présence de simples documents - pas des programmes - tels des textes de cours de crack ou de hack ou de carding ou de fabrication d'explosifs (anarchie, carding, cracking, etc. ...)). La réaction ne doit pas se limiter au simple effacement de la contamination.

Face à cette présence, nous devons engager des actions dans 3 directions différentes simultanément sinon nous risquons le virus PEBCAK. Il faut :

  1. Corriger les effets
    La première chose à faire est, bien entendu, de corriger immédiatement les effets de la contamination et supprimant la contamination elle-même mais cela ne suffit pas. Il faut encore :
  2. Rechercher les causes en amont
    Chercher, en amont, les causes de sa présence.
  3. Prévoir les conséquences en aval
    Chercher, en aval, les conséquences éventuelles de son action à l'encontre de notre machine, nos données, notre réseau, notre entreprise, notre banque, et nous même...

Opérations à engager :

L'administrateur réseau ou l'ingénieur en charge de la sécurité ou le particulier propriétaire de la machine devra :
  1. Eradiquer le parasite :
    Il y a plusieurs possibilités :

    1. Vous êtes censé disposer d'un outil de type antivirus. Aucun utilisateur sain d'esprit ne fonctionne sans ce type d'outil. Mettez-le à jour et lancez une analyse approfondie de votre machine, en réglant votre antivirus en mode paranoïaque.

    2. Vous n'avez pas d'antivirus ? Téléchargez, installez et exécutez un antivirus localement (sur la machine). Il en est des gratuits pour commencer.

    3. Exécuter des analyses en ligne de la machine.

  2. Rechercher, en amont, la faille ayant permis l'introduction de ce parasite :
    La présence de ce parasite signifie qu'une faille de sécurité a permis son introduction.

    • Ce peut être une introduction à distance grâce à l'exploitation d'une faille de sécurité corrigible par application de patchs disponibles chez les éditeurs de tous les logiciels installés sur la machine. La mesure de base est d'être à jour de tous les correctifs de sécurité. Exécuter un Windows Update afin de mettre à jour la totalité des composants logiciel de marque Microsoft installés dans l'ordinateur.
    • Installez et activez Sécunia PSI et suivez ses avis pour tous les composants logiciels de marque autre que Microsoft.
    • Utilisez la procédure de Mise à jour de tous les plugins de tous les navigateurs en un seul clic.
    • Plus généralement, utilisez, régulièrement, la Procédure périodique de maintenance à jour d'un PC sous Windows.
    • On aura également un oeil suspicieux sur toutes les personnes pouvant accéder physiquement à cette machine (employé, ami, service technique interne, maintenance technique externe, personnel d'entretien, etc. ...).
    • La mise en place d'un keylogger peut être envisagée pour dépister l'attaquant et peut être recherchée comme cause de l'attaque, ces outils ayant 2 usages diamétralement opposés. On regardera également si la surveillance des contrôles ActiveX n'est pas trop laxiste.

  3. Rechercher, en aval, les conséquences possibles et prendre les mesures nécessaires :
    En fonction de la nature du parasite (de sa classe), nous prendrons les mesures nécessaires. Par exemple, si le parasite vise les mots de passe, il faut immédiatement imaginer qu'ils sont tous compromis. Nous sommes donc en présence d'une nouvelle faille de sécurité, conséquence de la mise en oeuvre probable du parasite contre la machine infectée et le réseau auquel elle appartient. Il convient donc de tous les changer.

Opérations connexes :
  1. Essayer de remonter à la source : en vertu du vieil adage policier "chercher à qui le crime profite", chercher en remontant dans les logs, une identification éventuelle de l'utilisateur (poste de travail, login, adresse IP etc. ...) et les données qui ont pu être révélées. Se prémunir juridiquement en portant plainte immédiatement.
  2. Rechercher la présence d'autres parasites.
  3. Si le parasite concerne le crack de licences internes de logiciels, on pourra, éventuellement, se prémunir juridiquement, en prévenant les éditeurs et, d'autre part, porter plainte, à titre conservatoire.
  4. Si le parasite concerne le crack (password cracking) ou le vol (password stealing) de mots de passe ou autres données cryptées on recherchera aussi la possibilité de fuite de la clé de cryptage elle-même, depuis le mot de passe écrit sur un post-it collé sur l'écran jusqu'au personnel licencié assouvissant une vengeance... (dans ce dernier cas, les mots de passe auraient dû être changés dès l'envoi de la convocation à l'entretien préalable au licenciement puis changés à nouveau dans la minute qui suit l'entretien préalable et une nouvelle fois au moment du dernier départ physique de la personne licenciée, à l'issue du préavis. Entre-temps, tous ses accès auraient dû être supprimés ou extrêmement restreints).
  5. En entreprise, on retirera tous les outils matériels susceptibles de permettre une copie. Ils seront disposés en service d'accès contrôlé, sur des machines disposées dans une pièce distincte accessible sur justification et autorisation. Tous les périphériques amovibles sont concernés, y compris les disques durs montés en tiroirs, lecteurs de disquettes, de bandes, graveurs et même les memory sticks (ports usb...), clés usb etc. ... On sera particulièrement méfiant à l'égard des dispositifs USB conformes U3 (dont les menaces de type PodSlurping).
  6. Le mot de passe du BIOS sera extrêmement durci sur une carte-mère rendue inaccessible par l'usage de boîtiers verrouillés et disposant d'un contact d'ouverture déclenchant une alerte réseau grâce à une petite tâche active en permanence (la machine ne devant jamais être éteinte). Les accès aux disquettes et aux lecteurs de CD-ROM, DVD etc. ... seront inhibés au niveau du BIOS si les périphériques ne sont pas ôtés physiquement de la machine.
  7. En entreprise, on retirera ou restreindra tous les outils logiciels susceptibles de permettre une copie, dont le protocole FTP et les clients et serveurs P2P, les accès aux machines et répertoires du réseau...
  8. L'introduction du parasite sur la machine infectée ayant pu se faire à distance cela peut signifier, selon la nature du parasite, qu'un individu l'y a introduit non pas pour l'exploiter mais pour la cacher. C'est une mesure de sécurité élémentaire chez ceux qui manipulent des documents ou utilitaires très critiquables : ils ne les planquent pas chez eux mais chez les autres. Donc, pour revenir les chercher ou les utiliser, l'individu a probablement ménagé une porte : on recherchera du côté des RATs et des backdoor.

RéférencesRéférences" Références "

RessourcesRessources" Ressources "

 Requêtes similairesRequêtes similaires" Requêtes similaires "